Vaksincom mengumumkan temuan yang cukup menggelitik: 69,6 persen versi PHP yang berjalan di server Indonesia sudah usang. Peneliti Alfons Tanujaya menyoroti bahaya PHP2Shell, pola serangan yang mengubah celah PHP menjadi pintu masuk ke server. Bagi pemilik website toko online, angka ini bukan cerita orang lain — platform toko dan company profile yang Anda kelola hampir pasti ikut dalam statistik itu bila tidak pernah dicek.
PHP adalah bahasa yang menjalankan WordPress, WooCommerce, dan sebagian besar toko online lokal. Setiap versi PHP menerima pembaruan keamanan selama beberapa tahun, lalu berhenti. Server yang masih memakai versi lama tetap berfungsi normal, dan justru itulah masalahnya: kerentanan menumpuk tanpa gejala sampai eksploitasi publik muncul.
Apa itu PHP2Shell
PHP2Shell adalah pola serangan yang memanfaatkan kerentanan pada aplikasi PHP untuk mengeksekusi perintah di server. Setelah detail kerentanan dipublikasikan, pemeriksaan otomatis menyapu ribuan situs dalam hitungan jam. Situs yang tertinggal di versi lama menjadi target termudah karena pemindaian tidak perlu teknik khusus.
Dampaknya bagi penjual nyata: halaman produk diganti, skrip pencurian data checkout dipasang, atau server dipakai mengirim spam sampai hosting menonaktifkan akun. Pemulihan dari insiden semacam ini biasanya lebih mahal daripada upaya pencegahannya.
Cara mengecek versi PHP Anda
- Buka dashboard hosting (cPanel, Plesk, atau panel serupa) dan cari menu Select PHP Version atau PHP Configuration. Versi tertera di sana.
- Bila menu tidak tersedia, buat file kecil berisi phpinfo() atau tanyakan langsung ke dukungan hosting Anda.
- Bandingkan dengan halaman supported versions di php.net. Versi yang sudah lewat masa pembaruan keamanan wajib dinaikkan.
- Catat juga versi WordPress, tema, dan plugin. Semua harus kompatibel sebelum Anda menaikkan PHP.
Urutan upgrade yang aman
- Backup penuh: file dan database. Pastikan file backup benar-benar bisa diunduh, bukan hanya tertulis di panel.
- Nonaktifkan sementara plugin cache dan optimizer.
- Naikkan PHP satu versi mayor pada satu waktu, misalnya 7.4 ke 8.1, lalu cek halaman utama, produk, dan checkout.
- Aktifkan kembali plugin, pantau error log selama 24 jam.
- Baru lanjut ke versi PHP berikutnya bila tidak ada galat.
Pekan tanggal kembar atau flash sale adalah waktu terburuk untuk mengubah versi PHP. Jadwalkan di tanggal tenang, pagi hari, dengan waktu uji dua jam.
Kebiasaan kecil yang menahan serangan
- Hapus plugin dan tema yang tidak dipakai, bukan sekadar dinonaktifkan.
- Pisahkan akun admin dan akun penulis; aktifkan verifikasi dua langkah.
- Batasi percobaan login dan sembunyikan halaman wp-login dari pemindaian brute force.
- Perbarui plugin mingguan; sebagian besar peretasan datang dari plugin lama yang ceranya sudah dipublikasikan.
Temuan 69,6 persen itu sebaiknya dibaca sebagai alarm gratis. Cek versi PHP hari ini, naikkan bila tertinggal, dan jadwalkan pemeriksaan ulang tiap kuartal. Toko online yang tertib versi tidak sepenuhnya kebal, tapi jauh dari daftar target termudah.
Pertanyaan yang paling sering muncul dari pemilik toko
Pertanyaan pertama yang biasanya masuk: apakah menaikkan versi PHP mempengaruhi peringkat pencarian. Jawabannya tidak langsung, tapi kecepatan situs ikut membaik di banyak kasus, dan kecepatan adalah salah sinyal yang menyenangkan mesin pencari sekaligus pembeli.
Pertanyaan kedua: apakah hosting otomatis menaikkan PHP. Sebagian panel memang menawarkan mode otomatis, tapi mode itu kadang menaikkan versi saat tema Anda belum siap. Lebih aman mengendalikan sendiri dengan jadwal yang Anda tentukan, karena Anda tahu kapan toko sedang lengang.
| Kondisi toko | Saran jadwal pengecekan | Catatan |
|---|---|---|
| Katalog kecil, penjualan harian | Tiap kuartal | Cukup cek versi PHP dan plugin |
| Katalog besar + marketplace | Tiap bulan | Perhatikan plugin sinkronisasi stok |
| Sudah pernah kena peretasan | Tiap minggu selama 2 bulan | Pantau file yang berubah |
Tandai satu tanggal tetap setiap kuartal — misalnya hari pertama kuartal — sebagai hari pemeliharaan toko: backup, versi PHP, plugin, dan uji checkout. Rutinitas yang terjadwal jauh lebih mungkin dijalankan daripada niat yang menunggu waktu senggang.
{{
Artikel terkait di Aethericos
Baca juga
- Jutaan Serangan PHP2Shell dalam Hitungan Jam
- Peneliti Google DeepMind Mundur Protes AI Militer
- Template Kwitansi dan Surat Jalan untuk Seller
}}
1 komentar